使用 Exchange Online 规则检测欺骗电子邮件并删除欺骗电子邮件 |第 5 部分#12
在本文中，我们将回顾如何通过创建可识别传入欺骗电子邮件（欺骗发件人）的 Exchange 规则来处理欺骗邮件。
在这种情况下，我们希望实施以下一系列操作：
- 删除（拒绝）电子邮件。
- 生成事件报告并将其发送给指定收件人。
在我们的场景中，我们更愿意阻止（拒绝）具有欺骗电子邮件特征的电子邮件。
有关可能的欺骗电子邮件事件的信息将通过使用名为 -事件报告 的 Exchange Online 规则选项进行记录和报告。
我们具体场景的主要特征是：
我们的 CIO 报告收到一封电子邮件，据称该电子邮件是由合法组织收件人（我们公司的 CFO）发送的，要求他将大量资金转入特定的银行帐号。
事实上，组织收件人（我们公司的 CFO）并未发送此电子邮件，并且该电子邮件很有可能是由试图攻击我们组织的敌对分子发送的。
业务需求
我们的业务需求和需要实现的目标如下：
- 我们想要识别发送给我们组织收件人的电子邮件很可能是欺骗性电子邮件（欺骗性发件人）的事件。
- 我们希望通过删除可能是欺骗性电子邮件的电子邮件来防止“欺骗性电子邮件”到达组织用户邮箱。
- 我们不想告知收件人发送给他的欺骗性电子邮件已被删除的事件。
- 我们希望将信息+欺骗电子邮件样本发送到指定的共享邮箱。
- 我们希望选定的用户（例如 Exchange Online 管理员）能够访问存储事件报告的共享邮箱，以便他可以检查和分析欺骗性电子邮件。
Exchange Online 欺骗电子邮件规则结构和逻辑
激活 Exchange Online“欺骗电子邮件规则”的“触发器”将基于以下两个条件（条件 1 + 条件 2 的组合）：
- 由未经身份验证的收件人（不提供用户凭据的收件人）发送的传入电子邮件。
- 使用包含我们的公共域名的电子邮件地址展示自己的收件人。在我们的特定场景中，包含域名的电子邮件地址 -com
在下图中，我们可以看到 Exchange Online 欺骗电子邮件规则将实施的操作顺序：
我们的 Exchange Online“欺骗电子邮件规则”将执行的“操作”将包括以下“部分”：
1. 阻止电子邮件到达组织用户邮箱
2. 生成事件报告；发送到指定收件人的电子邮件地址。在我们的场景中，我们要求将事件报告发送给指定的收件人（名为 -欺骗电子邮件邮箱的共享邮箱）。
只有授权用户才能访问“欺骗电子邮件共享邮箱”。在我们的场景中，Brad（Brad 是我们的 Exchange Online 管理员）将有权访问共享邮箱。
注意：虽然当前文章中的信息是关于基于 Office 365 (Exchange Online) 的环境编写的，但大多数信息也与基于 Exchange 本地的环境相关。
配置将检测欺骗电子邮件并删除欺骗电子邮件的 Exchange Online 规则
在以下部分中，我们将提供创建所需的“Exchange Online 欺骗电子邮件规则”的“分步”说明，以满足我们的业务需求。
第 1#2 部分 - 配置 Exchange Online 欺骗电子邮件规则的“条件部分”
- 登录 Exchange 管理门户
- 在左侧菜单栏上，选择 -邮件流
- 在顶部菜单栏上，选择 -规则
- 单击加号图标
- 选择 - 创建新规则...
- 在名称：框中，为新规则添加描述性名称。
在我们的特定场景中，我们将命名该规则 - 检测欺骗电子邮件并阻止 - 单击 -更多选项... 链接（默认情况下，Exchange Online 规则的界面包括只有一组有限的选项。为了能够显示其他选项，我们需要“激活”更多选项...）。
- 在名为 -如果...应用此规则的部分中，单击黑色小箭头
条件1#2
- 选择主菜单 -发件人...
- 在子菜单中，选择选项 -是外部/内部
- 在选择发件人位置窗口中，选择选项 - 组织外部。
术语“组织外部”的含义与未经身份验证的收件人，意思是 - 不向邮件服务器提供用户凭据的收件人。
条件2#2
现在，我们将在“规则条件”中添加一个额外的“层”，其中我们与
使用包含我们域名的电子邮件地址的收件人相关（o365pilot. com 在我们的特定场景中）。
如果您想了解有关 Exchange Online 术语“外部发件人”和“组织外部”含义的更多信息，请阅读以下部分：在基于 Office 365 的环境中处理电子邮件欺骗攻击 |简介 |第 1 部分#12
- 点击 - 添加条件。
- 在名为 - 和 的部分中，单击黑色小箭头。
- 选择主菜单 - 发件人...
- 在子菜单中，选择选项 - 域名是
在指定域窗口中，添加代表您的组织的所需域名。
在我们的特定场景中，公共域名是 - o365pilot.com
注意 - 不要忘记点击加号 图标添加域名。
单击确定 选项保存 Exchange Online 规则设置。
第 2#2 部分 - 配置 Exchange Online 欺骗电子邮件规则的“操作部分”
在此阶段，我们将设置 Exchange Online 规则的“第二部分”，其中我们定义针对发送给我们组织收件人之一的欺骗电子邮件的场景所需的 Exchange 响应（操作）。
在我们的情况下，我们希望指示 Exchange Online 通过执行以下操作来响应
电子邮件被识别为欺骗电子邮件的事件：
条件 1#2 - 拒绝（阻止）欺骗电子邮件
- 在名为 - *.执行以下操作... 的部分中，单击黑色小箭头。
- 选择菜单选项 -阻止消息...
- 在子菜单中选择菜单选项 -删除消息而不通知任何人
条件 2#2 - 创建事件报告并将其发送给指定收件人。
- 单击选项 -添加操作
- 在名为 - *.and... 的部分中，单击黑色小箭头。
- 选择菜单选项 -生成事件报告并将其发送至...
事件报告的设置包括两个参数：
- 将获取事件报告的“目标收件人”的名称。
- 将包含在事件报告中的信息字段。
- 要添加所需的“目标收件人”名称，请单击链接 -选择一个...
- 在我们的特定场景中，收到事件报告的收件人是欺骗电子邮件邮箱。
要选择将包含在事件报告中的信息，请单击名为-*包括消息属性< /跨度>
在我们的场景中，我们将选择在摘要报告+“原始欺骗电子邮件”的副本中包含所有可用的邮件属性。
- 选择选项 -全选
在下面的屏幕截图中，我们可以查看可用的选项：
- A 部分 - 与事件报告摘要中显示的信息相关。
- B 部分 - 涉及将原始电子邮件的副本“附加”到事件报告的选项。
在下面的屏幕截图中，我们可以看到“最终结果”——Exchange Online 欺骗电子邮件，其中包括两部分：
- 条件部分
- 动作部分
验证 Exchange Online 欺骗电子邮件规则是否正常工作
在此阶段，我们将测试上一步中创建的 Exchange Online 欺骗电子邮件规则并验证该规则是否正常工作。
Exchange Online 欺骗电子邮件规则所需的结果
我们期望的期望是 - 当 Exchange Online 识别出发送给我们组织收件人的电子邮件很可能是欺骗性电子邮件（欺骗性发件人）的事件时，Exchange Online 欺骗性电子邮件规则将执行以下序列行动次数：
- 删除欺骗电子邮件。
- 生成事件报告；该信息将发送至指定收件人的电子邮件地址。在我们的具体场景中，我们要求将事件报告发送给指定的收件人（名为-欺骗电子邮件邮箱的共享邮箱）。
模拟欺骗电子邮件攻击 |场景人物
为了能够确保 Exchange Online 欺骗电子邮件规则正常工作，我们将模拟具有以下特征的欺骗电子邮件攻击：
- “敌对分子”试图使用电子邮件地址 - Suzan@o365pilot.com 来欺骗名为 -Suzan 的合法组织收件人的身份
- 欺骗性电子邮件将发送给名为 Bob 的合法组织用户，该用户使用电子邮件地址 - Bob@o365pilot.com
如果您想了解我们用于模拟电子邮件欺骗攻击的方式，您可以阅读文章 - 如何模拟电子邮件欺骗攻击 |第 11#12 部分
1#2 - 删除欺骗电子邮件
由于欺骗电子邮件已被 Exchange Online 删除，因此我们只能使用 Exchange Online 邮件跟踪选项来查看该事件的“踪迹”。
在下面的屏幕截图中，我们可以看到 Exchange Online 能够识别欺骗电子邮件。
电子邮件的状态为“失败”，因为电子邮件未发送t 已传递到目标收件人邮箱（已被 Exchange Online 删除）。
要获取有关邮件流的更多信息，我们可以双击日志行。
现在我们可以看到有关该事件的详细信息：
- 在“邮件流图”中我们可以看到电子邮件未送达。
- 状态报告包括有关“阻止”特定电子邮件的原因的详细信息。
如果我们想获得有关邮件流的更具体的详细信息，我们可以查看底部部分（C 部分）中的信息。
2#2 - 验证事件报告是否已发送至指定收件人
我们可以看到，Exchange Online 规则“捕获”了欺骗电子邮件事件。结果，事件报告被发送到在 Exchange Online 规则中配置的收件人名称（欺骗电子邮件邮箱）。
在下面的屏幕截图中，我们可以看到事件报告电子邮件的示例。
当我们查看事件报告时，我们可以看到事件报告包括两个部分：
- 原始电子邮件的副本 (A)。
- 事故报告摘要（B）。
事件报告摘要包括以下详细信息：
- 有关事件报告电子邮件消息生成器的信息 - “此电子邮件由生成事件报告操作自动生成”（编号 1）。
- 发件人 - 声称是名为 -Suzan@o365pilot.com （编号 2）的合法组织收件人的发件人（“源收件人”）。
- 收件人（目标收件人）是 -Bob@o365pilot.com （数字 3）
- 规则命中 - Exchange Online 规则“捕获”欺骗电子邮件事件以及 Exchange Online 规则执行的操作 - “检测欺骗电子邮件并阻止，操作：AuditSeverityLevel、DeleteMessage、GenerateIncidentReport”（数字4）。
查看我们的视频：https://www.youtube.com/watch?v=gBQzQGuLMvU
当前文章系列的下一篇文章
在下一篇文章 - 检测欺骗性电子邮件 - 前置欺骗性电子邮件的主题 + 使用 Exchange Online 规则添加免责声明 |第 6#12 部分，我们将回顾如何创建可识别欺骗性 E 事件的 Exchange Online 规则- 邮件并作为回复，将 - 在欺骗电子邮件的主题前面添加欺骗电子邮件的免责声明。